VDI-Sicherheit: 6 wichtige Faktoren

In den letzten Jahren haben sich VDI-Implementierungen (Virtual Desktop Infrastructure) stärker verbreitet als je zuvor. VDI hat nicht den gesamten Desktop-Markt ersetzt, wie manche vorhergesagt hatten. Doch immer mehr Unternehmen setzen wegen der vielfältigen betrieblichen Vorteile auf VDI-Umgebungen. Laut Gartner, setzen große Unternehmen zunehmend auf VDI. Nur 15% planen keine Investitionen in VDI-Technologie.

VDI-Nutzung (weltweit, mindestens 50 Vollzeitkräfte in der IT)

Bei der VDI-Einführung in großen Unternehmen stechen mehrere Branchen hervor. Dazu gehört das Gesundheitswesen: Klinische Tätigkeiten sind mobil und elektronische Patientenakten unverzichtbar. Auch im Finanzdienstleistungssektor wird VDI seit Langem aktiv genutzt.

Auch im Bildungswesen und im öffentlichen Sektor ist die Nachfrage hoch. Schulen benötigen VDI für Computerräume. Die Kosten bleiben jedoch das größte Hindernis für eine breitere Einführung im Bildungswesen.

Warum VDI geschützt werden muss

Auch in VDI-Umgebungen bestehen verbreitete Datenrisiken fort: ransomware, Social Engineering, Drive-by-Downloads, Netzwerk-Sniffing, die Ausnutzung von Schwachstellen, Insider-Bedrohungen, Rechteausweitung und malware. Manche halten VDI für sicherer, vor allem weil sich VDI-Instanzen nach Gebrauch beenden lassen. Doch die Gesamtsicherheit hängt vom schwächsten Glied ab. Und genau das sind VDI-Bereitstellungen häufig, aus mehreren Gründen:

1. Patching-Zyklen erfordern eine Aktualisierung des Golden Image und sind deshalb nicht schnell.
2. VDI-Implementierungen sollen meist möglichst wenige Ressourcen verbrauchen. Deshalb reduzieren Administratoren die Menge der installierten Software – mitunter zulasten des Schutzes.
3. Der menschliche Faktor: Nutzer sind sich der Sicherheitsfolgen bei der Arbeit mit VDI oft weniger bewusst, weil ihnen das System häufig nicht gehört und sie es nur für eine vorübergehende Sitzung verwenden. [warum?]

VDI-Ansätze

Bei Virtual Desktop Infrastructure gibt es zwei grundlegende Ansätze: persistent und nicht persistent.

Persistente VDI

Bei persistenter VDI ist die Sitzung virtuell, doch Nutzer haben einen eigenen Desktop, auf dem sie Dateien speichern, Einstellungen ändern und die Oberfläche nach Belieben anpassen können. Im Hintergrund läuft jeder Desktop auf einem separaten Festplatten-Image. Diese Desktops bieten Raum für individuelle Anpassungen, benötigen jedoch mehr Speicherplatz und Backup-Kapazität als die unten beschriebenen nicht persistenten Desktops. Nutzer, die sich täglich anmelden, bevorzugen diesen Ansatz deutlich. Allerdings mindert er einige Vorteile von VDI, etwa geringere Speicherkosten, einfacheres Patchen und bessere Transparenz über die vorhandenen Geräte.

Nicht persistente VDI

Viele VDI-Befürworter bevorzugen nicht persistente Desktops, weil sie einfacher zu verwalten sind als persistente VDI. Bei diesem Ansatz nutzen viele Anwender ein gemeinsames Festplatten-Image. Bei der Anmeldung erhält jeder Anwender einen Klon des gemeinsamen Master-Desktops. Dieser wird dann bei Bedarf durch Anwendungsvirtualisierung (Microsoft App-V, VMware ThinApp usw.) oder durch Virtualisierung der Benutzerumgebung (AppSense, RES usw.) angepasst.

Dieser Ansatz bietet viele Vorteile, etwa eine Erfolgsquote von 100% beim Patch-Management. Die fehlende Persistenz kann Anwender jedoch einschränken: Sie können keine Dateien lokal speichern, den Desktophintergrund ändern oder neue Anwendungen installieren.

Weitere Trends

In vielen Fällen wählen Unternehmen einen hybriden Ansatz: Sie verwenden nicht persistente Images, stellen aber für bestimmte Anwendungen dedizierten Speicher bereit.

Ein weiterer Trend ist DaaS (Desktop-as-a-Service), bei dem die Sitzungen in der Cloud laufen. Ein Drittanbieter hostet dabei das Backend der Virtual Desktop Infrastructure. Das wachsende Interesse zeigt sich auch daran, dass große Anbieter DaaS anbieten (Microsoft Azure, Amazon WorkSpace). Zu den traditionellen On-Premises-VDI-Angeboten gehören Citrix mit XenDesktop/XenApp und VMware mit der HorizonView-Produktreihe.

Unabhängig vom gewählten Ansatz müssen die folgenden Aspekte abgedeckt sein:

6 wichtige Faktoren für die VDI-Sicherheit

Damit Sicherheits-, Verwaltungs- und Leistungsanforderungen erfüllt werden, muss Sicherheitssoftware vor der VDI-Bereitstellung folgende Kriterien erfüllen:

1. Verlassen Sie sich nicht allein auf Updates

Wie erwähnt, wird bei manchen VDI-Szenarien vom Typ “nicht persistent” jede einzelne Sitzung beendet und die nächste stets vom Basis-Image gestartet. Produkte, die auf Updates angewiesen sind, lösen bei jeder Benutzeranmeldung einen “AV-Sturm” aus, weil sie ein Update erzwingen. Produkte, die für ihre Sicherheit auf Updates angewiesen sind, stehen vor der Herausforderung, dass neue Sitzungen immer wieder von vorn beginnen und anschließend aktualisiert werden müssen. Sobald eine Sitzung endet, wiederholt sich dieser Teufelskreis, verbraucht Bandbreite und Ressourcen und beeinträchtigt die Produktivität. Aus diesen Gründen war die Bereitstellung von Sicherheitsprodukten in VDI-Umgebungen bisher mit erheblichem Aufwand verbunden.  

2. Achten Sie auf einfache Verwaltung und vermeiden Sie doppelte Einträge

Die einfache Verwaltung ist ein weiterer entscheidender Faktor. In VDI-Umgebungen lassen sich Namenskonventionen für Geräte weder zuverlässig durchsetzen noch standardisieren. Die meisten VDI-Anbieter bieten zwar die Möglichkeit, Namenskonventionen festzulegen, doch bei neuen Sessions werden Namen häufig erneut vergeben. Dadurch entstehen bei AV-Produkten, die Nutzer und Konsolenparameter anhand von Gerätenamen identifizieren, Namenskonflikte. Diese verursachen unnötigen Verwaltungsaufwand und beeinträchtigen Endnutzer. Ein weiteres wichtiges Kriterium ist die automatische Außerbetriebnahme. Verwaltet ein AV-Produkt VDI, ohne beendete Sessions zu entfernen, entstehen zahlreiche “Phantomgeräte”. Sie verzerren den Überblick über die Umgebung und erschweren eine effektive Verwaltung von Assets im großen Maßstab.

3. Scans des Basis-Images sind unverzichtbar

Bei der Bereitstellung einer VDI-Umgebung darf malware keinesfalls in jede Instanz übernommen werden. Wenn Sie nicht sicherstellen, dass das Golden Image frei von Schadsoftware ist, gehen Sie ein erhebliches Risiko ein. Produkte, die malware nur erkennen, nachdem sie auf die Festplatte gelangt ist, oder Dateien erst bei der Ausführung prüfen, reichen für diese Angriffsfläche nicht aus. Ihre VDI-Umgebung bleibt anfällig.

4. Bestehen Sie auf gleichwertigem Schutz und Funktionsumfang

Einige Anbieter bieten spezielle Agenten für VDI an, allerdings mit eingeschränkter Funktionalität. Dadurch bleiben VDI-Umgebungen eine offene Angriffsfläche.  Abgesehen davon, dass es für Ihren AV-Anbieter bequem ist, gibt es keinen Grund für einen eingeschränkten VDI-Schutz. Wählen Sie Anbieter, die keine Kompromisse eingehen und umfassenden Schutz, vollständige Sichtbarkeit und Funktionen zur Reaktion auf Sicherheitsvorfälle bieten. SOC-Analysten sollten auch auf VDI-Endpunkten Threat Hunting betreiben können. Denn wenn sie verdächtige Aktivitäten erkennen, müssen sie deren Ursache ermitteln und den tatsächlichen Infektionspfad aufdecken.

5. Berechnen Sie die tatsächlichen Kosten

Es gibt zwei gängige Lizenzmodelle:  

1. Modell mit gleichzeitigen Nutzern (nutzungsabhängige Zahlung) – Sie zahlen für die maximale Anzahl gleichzeitig aktiver Nutzer. Bei diesem Lizenzmodell können Sie Software kostengünstiger erwerben, weil die erwartete Höchstzahl gleichzeitig angemeldeter Nutzer nur einen Teil aller Nutzer im Unternehmen ausmacht. Arbeiten beispielsweise 5.000 Nutzer in 2 Schichten, benötigen Sie nur 2.500 Lizenzen.
2. Lizenzmodell pro Nutzer (Zahlung für jeden Nutzer) – Jeder Nutzer benötigt eine Lizenz. Maßgeblich ist die Zahl der einzelnen Nutzer mit Zugriff auf die VDI-Infrastruktur. Eine Lizenz für 5.000 Nutzer bedeutet beispielsweise, dass bis zu 5.000 namentlich benannte Nutzer auf die Software zugreifen können.

Wählen Sie nach Möglichkeit ein Modell mit gleichzeitigen Nutzern, um Ihre Kosten zu senken.

6. Die Auswirkungen auf die Performance zählen

Ein Vorteil von VDI sind geringere Hardware- und Betriebskosten. Wenn Ihre Antivirenlösung so viele Ressourcen benötigt wie auf einem physischen Gerät, geht ein wesentlicher Vorteil von VDI verloren. Ein weiterer Faktor für die VDI-Performance ist die Anzahl der Anwendungen, die Sie auf dem Basis-Image installieren müssen. Wählen Sie leichtgewichtige und widerstandsfähige Endpoint-Sicherheitsprodukte, damit die Antivirensoftware weder Rechenleistung noch Anwendererlebnis und Produktivität beeinträchtigt. Vermeiden Sie Produkte mit mehreren Agenten, da diese mehr Ressourcen verbrauchen.

Warum SentinelOne?

Der autonome Agent von SentinelOne erfüllt und übertrifft alle genannten Kriterien.  Er schützt Desktop-Virtualisierungsumgebungen effizient, darunter Thin Clients, geschichtete Anwendungen und andere VDI-Szenarien. Er benötigt keine Updates und ist weder von Signaturen noch von anderen Anforderungen herkömmlicher Antivirensoftware abhängig. SentinelOne unterstützt alle gängigen VDI-Szenarien nativ, ohne Abstriche bei Funktionsumfang oder Schutz. Dazu gehören:

1. Desktop-Virtualisierung:  Ein Desktop-Betriebssystem läuft in einer VM auf einem zentralen Server. Beispiele für Virtualisierungssoftware in Unternehmen sind Citrix XenDesktop, Microsoft App-V, VMware Horizon und Systancia AppliDis.
2. Terminaldienste:  Eine serverbasierte Komponente für Computing und Präsentationsvirtualisierung, die über ein Netzwerk Zugriff auf Anwendungen und Daten eines Remote-Computers bietet. Beispiele sind  Microsoft Windows RDP und Citrix XenApp.
3. Desktop-as-a-Service:  Remote-Desktop-Virtualisierung über SaaS-Cloud-Computing. Beispiele für Desktop-as-a-Service in Unternehmen sind VMware’s Horizon DaaS und Amazon’s WorkSpaces.

^[1] Gartner, Markttrends: Die Nachfrage nach VDI wächst, doch nicht jeder wird erfolgreich sein, von Michael Warrilow und Nathan Hill, April 2017, https://www.gartner.com/document/code/325320

SentinelOne unterstützt die folgenden Anbieter virtueller Umgebungen:

• VMware vSphere
• VMware Workstation
• VMware Fusion
• VMware Horizon
• Citrix XenApp
• Citrix XenDesktop
• Amazon WorkSpaces
• Microsoft Hyper-V
• Oracle VirtualBox

Fazit

VDI-Sicherheit vereint Endpunktsicherheit, Netzwerksegmentierung, Datenverschlüsselung und Zugriffskontrollen. Es gibt viele Ansätze, doch entscheidend ist, was zu Ihrer Infrastruktur passt. VDI-Sicherheit bietet viele Vorteile. Vor allem machen Sie Ihr Unternehmen damit fit für die Zukunft. SentinelOne vereinfacht die Absicherung Ihrer VDI-Umgebung und steht Ihnen dabei als Partner zur Seite. Testen Sie SentinelOne und erleben Sie, was wir heute für Ihr Unternehmen tun können.